hvordan sikrer jeg, at data i produktpasset er sikre

Hvad du konkret skal gøre

Hvad der forventes af dig

ESPR stiller krav til produktpasset, der ikke kun omhandler, hvilke data der fremgår heraf, men også hvordan disse data administreres og beskyttes. Artikel 10 og artikel 11 i ESPR (Forordning (EU) 2024/1781) danner sammen grundlaget herfor: artikel 10 beskriver kravene til passet, artikel 11 omhandler specifikt det tekniske design og driften. For en stålhandel eller metalbearbejder, der organiserer dette for første gang, fordeles det på en række praktiske opmærksomhedspunkter.

Reguler adgang til data efter rolle

Ikke alle, der søger i passet, behøver at se de samme data. En indkøber hos et konstruktionsfirma har brug for anden information end en tilsynsmyndighed eller en genvinder ved slutningen af levetiden. Artikel 10 i ESPR tager udgangspunkt i differentieret adgang: nogle data er offentlige, andre er kun synlige for bestemte parter såsom markedsaktører eller myndigheder. For en virksomhed på 10 til 100 medarbejdere betyder dette, at der, før passet går i drift, skal træffes valg om, hvem der får adgang til hvilke datalags — og at dette valg også teknisk er gennemført, ikke kun på papiret.

Sikre dataenes oprindelse og korrekthed

Et produktpas er kun værdifuldt, hvis dataene er korrekte og sporbare til kilden. Det vedrører hele systemets pålidelighed: hvis en modtager ikke kan spore, hvor et data stammer fra, mister passet sin funktion. Praktisk betyder dette, at det skal dokumenteres, hvem der har leveret hvilket data — producenten, importøren eller en mellemled — og hvornår dette skete. For virksomheder, der ikke selv indtaster data, men videregiver disse, er det vigtigt at vide, hvordan dataene er leveret i det rigtige format, da en forkert levering senere i kæden resulterer i et upålideligt pas.

Beskyttelse mod ændring efter publicering

Artikel 11 i ESPR beskriver, at det digitale produktpas skal fungere teknisk på en sådan måde, at data ikke kan ændres uden at blive bemærket efter at de er blevet registreret. For en metalbearbejder, der ikke selv hoster passet, men lader det hoste — såsom via en platform som denne — betyder det, at valget af en hostingpart også er et valg om, hvordan denne part registrerer, logger og sikrer ændringer. Det er ikke et teoretisk punkt: hvis en kunde eller tilsynsmyndighed bestrider en oplysning fra passet, skal det være påviseligt, hvornår oplysningen blev registreret, og af hvem.

Integrering med eksisterende virksomhedssystemer

Mange virksomheder ønsker ikke at administrere produktpasset som et isoleret system, men vil forbinde det med den administration, der allerede findes. Det er muligt, men sikkerheden ved passet er så ikke adskilt fra sikkerheden ved det underliggende system. Den, der overvejer at koble passet til sit eget ERP- eller lagersystem, gør klogt i at se på, hvem der har adgang til denne forbindelse, og om et brud i det ene system får konsekvenser for det andet.

Hvor det går galt i praksis

Et antal situationer dukker op igen og igen i praksis.

Hos virksomheder, der får QR-koden anbragt på selve produktet, bliver det nogle gange overset, at koden i sig selv ikke giver sikkerhed — spørgsmålet er, hvad der sker bag denne kode. Den, der undrer sig hvordan QR-koden kommer på stålet, bør også undre sig over, hvem der administrerer de bagvedliggende data, og om denne opdeling mellem bærer og indhold er klart dokumenteret.

En anden situation opstår, når flere parter i kæden leverer data til det samme pas uden forudgående aftale om, hvem der må ændre hvilken del. Det fører til forvirring om, hvilken version der er gyldig, og nogle gange til, at en anden part ved et uheld overskriver korrekte data.

Også ved små komponenter går det nogle gange galt: hvis en QR-kode på et lille stykke stål teknisk er begrænset, vælges nogle gange en forenklet link eller en mellemside — hvor man ikke altid har tænkt over, om denne mellemnivå følger de samme sikkerhedsaftaler som hovedpasset.

En fjerde situation: virksomheder, der selv har en offline kopi af pasdata til brug på steder uden forbindelse, glemmer at synkronisere eller sikre denne kopi på samme måde som onlineversionen. Det er et virkeligt punkt, for ikke enhver arbejdsplads har en stabil forbindelse, og spørgsmålet om, hvorvidt passet også skal fungere offline er netop relevant ved denne type praktisk indretning.

Endelig: virksomheder, der ophører eller afhænder en forretningsenhed, glemmer nogle gange, at passets data består, og at adgang og administration heraf skal overføres — noget som hænger sammen med spørgsmålet hvad der sker med passet, hvis virksomheden ophører.

Hvad De kan dokumentere

Et antal aftaler og dokumenter hjælper med at gøre sikringen af pasdata påviselig:

• En oversigt over, hvem der har hvilken rolle i leveringen og administreringen af data, inklusive kontaktperson pr. part i kæden.
• En registrering af oprindelsen af hver oplysning: fra hvilken fabrikant, importør eller mellemppart den stammer, og på hvilket tidspunkt den blev leveret.
• Aftaler med hostingparten om logging af ændringer, så det er påviseligt, hvornår en oplysning blev registreret, og om den siden blev ændret.
• En beskrivelse af de adgangsniveauer, der er indstillet: hvilke data der er offentligt tilgængelige, og hvilke der kun er synlige for specifikke parter.
• Hvis relevant, en oversigt over forbindelsen med dit eget ERP- eller lagersystem, med beskrivelse af, hvem der har adgang til denne forbindelse.
• En plan for situationen, hvor virksomheden ophører, eller en del overføres, så administration og adgang til eksisterende pas ikke bliver uafklaret.

Denne dokumentation er ikke blot nyttig over for tilsynet, men også praktisk: det forhindrer, at intern viden om, hvem der administrerer hvad, går tabt ved personaleskift eller virksomhedsovertagelse.